Il provvedimento del Garante Privacy del 27/11/2008 impone ai Titolari del trattamento, pubblici e privati, una serie di obblighi sia di tipo organizzativo e sia di tipo tecnico-informatico relativamente alla gestione delle figure di amministratore di sistema:

• Individuazione, nomina scritta e tenuta di un elenco aggiornato degli amministratori di sistema.
• Obbligo di acquisizione e conservazione dei log di accesso degli amministratori di sistema per almeno 6 mesi con modalità che ne garantiscano la completezza, l'inalterabilità e l'integrità.
• Verifica almeno annuale dell'operato degli amministratori di sistema mediante analisi dei log.

Chi sono gli amministratori di sistema

Sono quelle figure professionali finalizzate alla gestione e alla manutenzione di un impianto di elaborazione o di sue componenti. Ai fini del provvedimento vengono considerate tali anche altre figure quali gli amministratori di basi di dati, gli amministratori di reti, di apparati di sicurezza e gli amministratori di sistemi software complessi. Esempi: addetti area IT/CED; ditte esterne di assistenza e manutenzione hardware o software; personale interno che accede ai server per backup, aggiornamenti software, ecc.

Chi deve adeguarsi al provvedimento

Sono tenuti ad adeguarsi tutti i Titolari del trattamento, sia pubblici che privati, che trattano dati sensibili in formato elettronico riferiti a clienti o ad altri soggetti diversi dai propri dipendenti e collaboratori oppure che trattano anche dati sullo stato di salute comprendenti indicazioni sulle diagnosi oppure che effettuano trattamenti che presentano rischi specifici al di fuori dell'ambito amministrativo-contabile.

Chi deve adeguarsi (esempi)

• studi professionali (commercialisti, consulenti del lavoro, avvocati, notai …)
• pubbliche amministrazioni
• centri fiscali e Caf
• ambito sanitario
• ambito finanziario, bancario e assicurativo
• aziende di grandi dimensioni di tutti i settori di attività.

Logbox: la soluzione

Logbox è una soluzione sviluppata da HTS srl e prevede l'acquisizione in tempo reale dei log presso i vostri sistemi informatici e l'invio protetto in un data center remoto per l'archiviazione in conformità al provvedimento. È possibile accedere in qualunque momento al servizio Logbox direttamente dall'interfaccia web usando un normale browser (es: Internet Explorer, Mozilla Firefox, Google Chrome, Apple Safari, ecc.) per la consultazione e il download dei log archiviati. L'acquisizione in tempo reale, la trasmissione e l'archiviazione cifrate, le registrazioni e gli allarmi consentono di garantire le caratteristiche di completezza, inalterabilità e integrità dei log. La possibilità di elaborare report periodici di analisi dei file di log rendono possibili le attività di controllo richieste dal provvedimento.

I principali vantaggi della soluzione Logbox

• Servizio in abbonamento annuale o pluriannuale senza nessun investimento in hardware.
• Costi del servizio indipendenti dal numero di postazioni di lavoro o di server ma funzione solo dell'effettiva quantità di log generati.
• Massima scalabilità della soluzione in base agli sviluppi e ai mutamenti aziendali.
• Conformità di Logbox a tutte le richieste tecniche del provvedimento (completezza, inalterabilità e integrità log).
• Monitoraggio del corretto funzionamento del servizio con funzionalità di allarmistica via e-mail.
• Il servizio Logbox comprende la creazione e l'invio di un report contenente l'analisi dei log e le indicazioni su potenziali anomalie.
• Possibilità di gestione e analisi dei log anche per altre finalità di sicurezza, di monitoraggio e di controllo dei sistemi.
• Soluzione sempre aggiornata in base ai cambiamenti normativi.
• Soluzione completamente progettata e sviluppata da Hts e già adottata da enti pubblici, aziende private e studi professionali.

Scadenze e a chi affidare l'adeguamento

Il termine per l'adeguamento alle disposizioni del provvedimento era il 15 dicembre 2009. I compiti di adeguamento e di gestione delle relative soluzioni tecniche possono essere affidati con specifico incarico ad un Responsabile del trattamento anche esterno (esempio: Rivenditore Logbox). come previsto dalle modifiche al provvedimento apportate il 25 giugno 2009.